В продуктах Lenovo обнаружен неизменяемый пароль 12345678

Исследователь безопасности из Core Security Consulting Team Иван Уэртас (Ivan Huertas) обнаружил ряд уязвимостей в Lenovo SHAREit для Windows и Android. Одна из проблем (CVE-2016-1491) заключается в использовании Windows-версией приложения одного и того же ненадежного неизменяемого пароля. При получении файлов создается хот-спот с паролем 12345678. С его помощью подключиться к хот-споту может любая система с беспроводной сетевой картой.

Уязвимость CVE-2016-1490 позволяет злоумышленнику при подключении к сети Wi-Fi просматривать (но не загружать) файлы, отправляя HTTP-запрос серверу, запущенному Lenovo SHAREit. Приложения SHAREit для Windows и Android отправляют файлы по протоколу HTTP в незашифрованном виде. Уязвимость CVE-2016-1489 позволяет атакующему, способному перехватывать сетевой трафик, увидеть передаваемые данные и путем модификации содержимого файлов осуществить атаку «человек посередине».

При получении файлов через SHAREit для Android создается незащищенный паролем открытый хот-спот. Эксплуатируя уязвимость CVE-2016-1492, атакующий может подключиться к хот-споту и перехватить данные, передаваемые между двумя устройствами.

Уязвимости затрагивают SHAREit для Android 3.0.18_ww и SHAREit для Windows 2.5.1.1. Остальные версии на наличие вышеописанных проблем не тестировались. В настоящее время уязвимости уже исправлены производителем.

SHAREit - приложение для передачи файлов между смартфонами, планшетами и ПК на близком расстоянии без оплаты сетевого трафика и подключения по Wi-Fi.